議会に侵入したPegasus：スパイウェアリスクが制度レベルへ

欧州議会のスパイウェア調査委員会メンバー自身がNSO GroupのPegasusに感染していたというフォレンジック調査結果は、単なる皮肉な脚注以上の意味を持つ。これは構造的な失敗を明らかにしている。傭兵的監視市場は、それを抑制するはずの法的、調達、サイバー防衛の枠組みよりも速く成長してきた。調査する側自身が標的になる時、抑止力は事実上崩壊している。

グローバル企業の経営幹部にとって、直接的な教訓は、脅威モデルが日和見的犯罪者から、ゼロクリックで商業的に販売される能力を持つ国家隣接アクターへとシフトしたということだ。政策への影響力、M&A情報、訴訟リスク、交渉データへのアクセスを持つあらゆる組織――防衛関連企業だけでなく――は、NSO、Intellexa、Paragonのようなベンダーの対象市場内にあると想定すべきだ。「合法的傍受」ツールと企業スパイ活動の境界線は薄く、管轄地域に依存する。

政策の方向性は業界に不利に動いている。米国はNSOをブラックリストに載せ、EUはモラトリアム施行の圧力下にあり、スペインのPalantir排除のようなケースは、各国政府が主権と信頼の根拠に基づいてベンダーを排除する意思を強めていることを示している。サプライヤーが商用スパイウェアエコシステムから調達、転売、または依存していないことの証明を要求する調達条項が予想される。このサプライチェーンに何らかの関与がある企業は、単一のスキャンダルを超えて存続する評判リスクと契約リスクに直面する。

防衛技術の機会もある。AppleのLockdown Mode、GoogleのAdvanced Protection、モバイル脅威検知を構築するスタートアップ(Zimperium、iVerify、Corellium関連フォレンジック)は、ニッチから取締役会レベルの要件へと移行している。サイバー保険会社はスパイウェアリスクの価格設定を開始し、CISOは経営幹部のモバイルデバイスをエンドポイントポリシーの延長ではなく、独立した強化資産クラスとして扱うべきだ。

推奨される対応策：上級幹部と取引チーム向けの強化デバイスプログラムを義務化する。ベンダーデューデリジェンスにアンチスパイウェア表明を追加する。デバイスメーカーのみに依存するのではなく、独立したフォレンジック能力を保持する。関連する場合は、輸出管理の明確化をロビー活動する。議会への侵害は予告編である――免疫があると想定する機関は、単にまだチェックされていない標的にすぎない。